Acerca de las CA intermedias vulneradas de eMudhra

Tus dispositivos Apple bloquean automáticamente los certificados vulnerados en Safari, Mail y las apps que usan los frameworks de Apple. Para evitar que las herramientas de línea de comandos en la Mac los acepten, actualiza a la versión más reciente de macOS.

Los dispositivos Apple bloquean automáticamente los certificados de las autoridades de certificación (CA) intermedias de eMudhra vulneradas que emiten certificados TLS. Este bloqueo funciona en Safari, Mail y las apps que usan los frameworks de red y seguridad de Apple.

Algunas herramientas de línea de comandos incluidas con macOS o las herramientas de línea de comandos de Xcode (como curl y git) requieren un paso adicional para dejar de aceptar estos certificados:

• Actualiza a la versión más reciente de macOS: la versión más reciente de macOS contiene las protecciones de seguridad más sólidas. A partir de macOS 27.2.1, estas herramientas de línea de comandos dejan de aceptar estos certificados. Para las computadoras Mac que usan macOS 26 o macOS 15, macOS 26.7.3 y macOS 15.8.3 también incluyen esta protección.

• Si no puedes actualizar tu Mac: si usas estas herramientas de línea de comandos pero no puedes actualizar tu Mac a macOS 27.2.1, 26.7.3 o 15.8.3, puedes eliminar los certificados de CA raíz de /etc/ssl/cert.pem.

Actualiza macOS

¿Qué sucedió?

Las claves privadas de ocho CA intermedias operadas por eMudhra se vieron vulneradas. Dos de estas CA emiten certificados de firma de código, en los que los frameworks de Apple no confían. Las otras seis emiten certificados TLS. Alguien que tenga las claves de estas seis CA podría crear certificados que parezcan válidos para cualquier sitio web. eMudhra y Sectigo han revocado los certificados afectados.

Cada una de las seis CA intermedias de TLS tiene dos certificados, para un total de doce:

• Un certificado emitido por emSign Root TLS CA - G3, que se encadena con emSign ECC Root CA - G3

• Un certificado con firma cruzada de Sectigo, que se encadena con AAA Certificate Services

Consulta la lista de estos 12 certificados

Qué ha hecho Apple

Apple bloquea estos doce certificados y emSign ECC Root CA - G3 en Safari, Mail y las apps que usan los frameworks de red y seguridad de Apple. Las actualizaciones de los datos de configuración de certificados se envían a los dispositivos de forma automática y según sea necesario, por lo que no necesitas instalar una actualización de software para obtener este bloqueo.

A partir de macOS 27.2.1, macOS también bloquea estos doce certificados en las herramientas de línea de comandos incluidas con macOS o las herramientas de línea de comandos de Xcode. También elimina los dos certificados de CA raíz a los que se encadenan los doce certificados de /etc/ssl/cert.pem, junto con otros tres certificados de CA raíz de eMudhra. macOS 26.7.3 y macOS 15.8.3 también incluyen esta protección.

Consulta los certificados de CA raíz eliminados de /etc/ssl/cert.pem

Si no puedes actualizar tu Mac

En la Mac, algunas herramientas de línea de comandos incluidas en macOS o en las herramientas de línea de comandos de Xcode (como curl, git, python3, ruby, perl y openssl) verifican los certificados comparándolos con el archivo /etc/ssl/cert.pem. Para los certificados que se encadenan con un certificado de CA raíz en este archivo, estas herramientas no comprueban el bloqueo de Apple ni si el certificado se ha revocado.

Si usas estas herramientas pero no puedes actualizar tu Mac a macOS 27.2.1, macOS 26.7.3 o macOS 15.8.3, puedes eliminar los certificados de CA raíz del archivo.

• Estos pasos afectan a todas las herramientas que utilizan el archivo /etc/ssl/cert.pem. Posteriormente, es posible que las herramientas que utilicen únicamente este archivo no puedan verificar algunos sitios web cuyos certificados se encadenen con estos certificados de la CA raíz a través de CA intermedias que no se hayan visto afectadas.

• Necesitas una cuenta de administrador, o bien puedes implementar los comandos mediante tu solución de administración de dispositivos. Copia cada comando exactamente como está escrito. Obtén información sobre qué hacer si recibes una alerta sobre un posible malware al pegar el comando en Terminal.

Para eliminar los certificados de la CA raíz del archivo /etc/ssl/cert.pem:

1. Crea un respaldo del archivo. Si ya existe un respaldo, este comando lo conserva:

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. Elimina emSign ECC Root CA - G3. Este comando crea una copia del archivo sin emSign ECC Root CA - G3, verifica que la copia no esté vacía y reemplaza el archivo original. No se muestra nada cuando se completa correctamente:

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. Opcional: eliminar emSign ECC Root CA - G3 no evita que estas herramientas acepten los seis certificados que Sectigo firmó de forma cruzada, ya que estas herramientas aún pueden verificarlos a través de AAA Certificate Services. Para evitar que estas herramientas acepten esos seis certificados a través del archivo, también puedes eliminar AAA Certificate Services. Este comando funciona de la misma manera que el del paso 2:

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. Revisa el resultado. Este comando muestra cualquiera de los dos certificados de CA raíz que aún se encuentre en el archivo. Si eliminaste ambos, no se mostrará nada. Si el comando muestra un error, restaura el respaldo del paso 1.

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Después de cada actualización de software, ejecuta el comando del paso cuatro. Si aparece un certificado de CA raíz que eliminaste, repite estos pasos.

Después de actualizar a macOS 27.2.1, macOS 26.7.3 o macOS 15.8.3, no necesitas repetir estos pasos. Elimina tu respaldo usando sudo rm /etc/ssl/cert.pem.orig, y no restaures un respaldo que hayas hecho antes de la actualización.

Certificados bloqueados

Certificados de CA raíz eliminados de /etc/ssl/cert.pem

macOS 27.2.1, macOS 26.7.3 y macOS 15.8.3 eliminan estos certificados de CA raíz de /etc/ssl/cert.pem. Es posible que las herramientas que usan únicamente este archivo no puedan verificar algunos sitios web cuyos certificados se encadenen a estos certificados de CA raíz.